Что это такое?

Это критерий для отбора пакетов, к которым применяется данное правило: набор флагов TCP.

Зачем это нужно?

Для отбора пакетов, соответствующих этому критерию.

Как это настроить?

Данный параметр cоответствует в iptables опции --tcpflags и её сокращениям для частных случаев (напр. --syn). Значение параметра должно содержать два списка:

• список проверяемых флагов
• список флагов из их числа, которые должны быть установлены

Например, для отбора пакетов, инициирующих TCP-соединение, следует указать:

SYN,RST,ACK,FIN SYN

т.е. из 4 проверяемых флагов должен быть установлен SYN и не установлены остальные три.

Критерий относится только к пакетам TCP.